కీ పాస్‌ఫ్రేజ్‌ను తీసివేయాలా లేదా ఉంచుకోవాలా? మీరు సృష్టించే ప్రతి
ఎన్‌క్రిప్ట్ చేయని కీ ఫైల్ అదే రహస్యాన్ని బలహీన రక్షణ కింద ఉంచుతుంది. మార్చే ముందు విశ్రాంతి ప్రమాదాన్ని పోల్చి చూడండి, అది ఏమి రద్దు చేయదో తెలుసుకోండి.
ఎన్‌క్రిప్ట్ చేసిన ప్రైవేట్ కీ మరియు ఎన్‌క్రిప్ట్ చేయని కీ ఒకే కీ పదార్థాన్ని కలిగి ఉంటాయి. మార్పిడి కొత్త గుర్తింపును సృష్టించదు, VPN ఖాతాను రీసెట్ చేయదు మరియు పాత ఫైల్‌ను చెల్లదు చేయదు. ఇది రెండవ ప్రతిని రాస్తుంది, ఆ ప్రతి భిన్నమైన విశ్రాంతి ప్రమాదాన్ని మోస్తుంది.
ఈ మార్పిడి విలువైనదా అనేది ఫైల్ ఎక్కడ ఉంటుంది మరియు ఎవరు దాన్ని చదవగలరు అనే దానిపై ఆధారపడి ఉంటుంది.
మార్పిడి నిజంగా ఏమి మారుస్తుంది
మార్పిడికి ముందు, నిర్వాహకుడు అందించే పాస్‌ఫ్రేజ్ కీని రక్షిస్తుంది. మార్పిడి తర్వాత, ఫైల్‌సిస్టమ్ అనుమతులు మరియు ఫైల్ చుట్టూ ఉన్న ఏదైనా యాక్సెస్ నియంత్రణ దాన్ని రక్షిస్తాయి. క్రిప్టోగ్రఫీ మారలేదు; దాడికారుడికి మరియు కీకి మధ్య నిలిచే వస్తువుల సంఖ్య మారింది. అదే మొత్తం పోలిక.
పట్టిక తేడాను స్పష్టం చేస్తుంది.
| Form | What protects it | How it fails |
|---|---|---|
| Encrypted key | A passphrase plus file access | Weak passphrase, or an offline attack on the file |
| Unencrypted key | File permissions and host security only | Any reader copies it silently |
ఏ రూపం స్వయంచాలకంగా ఎక్కువ సురక్షితం కాదు. అవి వేర్వేరు మార్గాల్లో విఫలమవుతాయి, ఆ మార్గాల్లో ఒకటి మాత్రమే లాగ్‌లో నమోదు వదిలిస్తుంది.
పాస్‌ఫ్రేజ్‌ను ఉంచుకోవడం ఎప్పుడు మంచిది
మద్దతు ఉన్న క్లయింట్ పాస్‌ఫ్రేజ్‌ను అడగగలిగితే లేదా ఆమోదించిన రహస్య నిల్వ నుండి తీసుకోగలిగితే, మార్పిడి ఏమీ కొనదు. మీరు ఒక ప్రతి, ఒక రక్షణ సరిహద్దు మరియు ట్రాక్ చేయడానికి ఒక ఫైల్ తక్కువ ఉంచుకుంటారు. PEM కీలను అంగీకరించే చాలా VPN క్లయింట్‌లు దీన్ని చేయగలవు.
బృందం కీని పంచుకున్నప్పుడు కూడా మార్పిడి తప్పు అడుగు. పంచుకున్న హోస్ట్‌లో ఎన్‌క్రిప్ట్ చేయని ఫైల్ shell యాక్సెస్ ఉన్న ఎవరైనా కాపీ చేయగల ఆధారంగా మారుతుంది.
ఎన్‌క్రిప్ట్ చేయని ప్రతి ఎప్పుడు సమర్థించదగినది
కొన్ని సేవలు అడగలేవు, కొన్ని కంటైనర్లు రహస్యాలను చదవడం-మాత్రమేగా మౌంట్ చేస్తాయి, కొన్ని పరికరాలు బూట్ సమయంలో ఇంటరాక్టివ్ మార్గం లేకుండా కీ ఫైల్‌ను చదువుతాయి. అలాంటి సందర్భాల్లో, సరిగ్గా పరిమితం చేసిన డైరెక్టరీలో ఎన్‌క్రిప్ట్ చేయని కీ మద్దతు ఉన్న డిజైన్ కావచ్చు. సమర్థన పర్యావరణం, సౌలభ్యం కాదు.
ఫైల్‌ను ఎవరు చదవగలరు మరియు ఎందుకు అని మీరు చెప్పలేకపోతే, సమాధానం కాదు.
ఆదేశం మరియు దాని పదునైన అంచులు
OpenSSL 3.5 మద్దతు ఉన్న ఫైల్-ఆధారిత కీ కోసం, pkey సూచన పాస్‌ఫ్రేజ్ తీసివేతను మరియు ఇన్‌పుట్ ఎన్‌క్రిప్ట్ చేయబడినప్పుడు, పాస్‌వర్డ్ మూలం ఇవ్వబడనప్పుడు ఇంటరాక్టివ్ ప్రాంప్ట్‌ను నమోదు చేస్తుంది. కనిష్ట రూపం చిన్నది, దాన్ని నిర్లక్ష్యంగా అమలు చేయడం సులభం.
umask 077
openssl pkey -in protected-key.pem -out new-private-key.pemమూడు పదునైన అంచులు. అవుట్‌పుట్ ఫైల్ I/O పరమాణు కాదు, కాబట్టి ఇప్పటికే ఉన్న అవుట్‌పుట్ మార్గం రాయడం మధ్యలో కత్తిరించబడవచ్చు. ఇన్‌పుట్ మార్గాన్ని అవుట్‌పుట్‌గా ఉపయోగించవద్దు, ఏకైక రక్షిత ప్రతిపై ప్రయోగం చేయవద్దు. పాస్‌ఫ్రేజ్‌ను కమాండ్ లైన్‌లో కాకుండా ప్రాంప్ట్‌లో నమోదు చేయండి, అక్కడ అది shell చరిత్రలోకి వెళ్తుంది.
ఏదైనా VPN కాన్ఫిగరేషన్‌ను మార్చే ముందు ఫలితాన్ని తనిఖీ చేయండి: openssl pkey -in new-private-key.pem -pubout ముందు మీకు ఉన్న అదే పబ్లిక్ కీని ముద్రించాలి.
మార్పిడి ఏమి చేయదు
ఇది ఎన్‌క్రిప్ట్ చేసిన ప్రతిని రద్దు చేయదు, అది మీరు విడిచిన చోట ఇప్పటికీ ఉంది. ఇది VPN ఖాతా పాస్‌వర్డ్ లేదా ధృవపత్రాన్ని మార్చదు. ఇప్పటికే జరిగిన బహిర్గతాన్ని ఇది సరిచేయదు. కీ లీక్ అయితే, పరిష్కారం భర్తీ మరియు సర్వర్-వైపు రద్దు, స్థానిక ఆకృతి మార్పు కాదు.
మధ్యంతర ఫైల్‌ను ఉద్దేశపూర్వకంగా తొలగించండి, మీరు తొలగించే మార్గం మీరు సృష్టించినదే అని నిర్ధారించండి.